本物そっくりのMicrosoftメールに潜む罠——タイポスクワッティング詐欺の見分け方と自分を守る方法

タシュリーフ(Tashreef Shareef)がテクノロジーに魅了されたきっかけは、学校の図書室で偶然手にした技術雑誌「CHIP」でした。これがきっかけとなり、コンピュータサイエンスの学位取得を目指すことに。2012年以降、プロのライターとして1,000本以上のハウツー記事を執筆し、Windows ReportやHow-To Geekなどに寄稿しています。現在はMakeUseOfでMicrosoft Windows関連のコンテンツを中心に執筆しており、同サイト自体も2007年からの愛用者です。

ウェブサイトや技術ブログの構築経験を持つ彼は、実践的な開発者の視点を技術記事に反映させています。作品ポートフォリオはitashreef.comで公開中です。また、複雑なトピックをわかりやすく解説する短いハウツー動画も制作しています。執筆以外では、解説動画の制作、ゲーム、アニメ鑑賞を楽しんでいます。

一見本物そっくりのMicrosoftメール。見慣れたロゴ、レイアウト、URL——それをクリックした結果、アカウントの認証情報を失ってしまったら? フィッシングメールは年々巧妙化しており、攻撃者たちは今や「文字の錯覚」を利用して、ログイン情報を騙し取ろうとしています。

この攻撃手法は「タイポスクワッティング(typosquatting)」と呼ばれ、その巧妙さはまさに隠密そのものです。一見すると送信元アドレスは正当なものに見え、メールのデザインもMicrosoftらしいもの。本文中のリンクさえ正しいように見えます。しかしよく見ると、どこかおかしい——たった1文字の違いが、アカウント乗っ取りにつながるのです。

タイポスクワッティングとは何か、その仕組み

人間の読み方を悪用する視覚的トリック

今回の事例では、攻撃者が「rnicrosoft.com」のようなドメインを登録し、公式Microsoftサポートを装ったメールを送信していました。「r」と「n」を並べると遠目には「m」に見えるため、特にスマートフォンでは脳がmicrosoft.comと認識してしまうのです。これこそが典型的なタイポスクワッティング(URLハイジャックとも呼ばれます)の実例です。

タイポスクワッティングとは、人気サイトとほぼ同一に見える偽ドメインを作成する手口です。攻撃者はスペルミス、文字の入れ替え、異なるトップレベルドメイン(.comの代わりに.coなど)、改変されたサブドメインなどを駆使して、人々の油断を突きます。

狙いは、そっくりさんのドメインへ誘導するリンクをクリックさせたり、URLを入力させることです。そこにたどり着いた被害者は、ブランドロゴやデザインまで一致したクローンサイトを目にすることになります。ログインし、決済情報を入力し、ファイルをダウンロード——攻撃者が必要とする情報を、自ら差し出してしまうのです。

この手口が成立するのは、私たちの脳が馴染みのある言葉を1文字ずつ読むのではなく、パターンとして処理するためです。「microsoft」を何百回も目にしていれば、脳は文字を検証する代わりに全体の形を認識するようになります。詐欺師たちはこれを悪用し、「m」の代わりに「rn」、「w」の代わりに「vv」、「l」の代わりに「1」など、似ている文字を使い分けるのです。

問題はモバイルデバイスでさらに深刻になります。小さい画面、デフォルトフォント、素早いスクロールによって、微妙な違いはほぼ見分けがつきません。昼休みにスマホでメールをチェックし、Microsoftらしき差出人からのメッセージを見つけて、深く考えずにタップ——そんなシーンは誰にでも起こり得ます。

タイポスクワッティングを効果的にしているのは、フィッシングメールとの組み合わせです。詐欺師はタイポドメインを登録し、正規のメール認証(SPF、DKIM、DMARC)を適切に設定すれば、完全に合法的に見えるメッセージを送信できます。そうしたメールはスパムフィルターを通過し、受信箱に届き、あなたがクリックするのを待ち構えているのです。

ブラウザやメールフィルターが防げない理由

正規に見えるドメインは自動チェックをすり抜ける

メールプロバイダーやブラウザなら、明らかな偽URLやスペルミスを検出してくれると思うかもしれません。実際、多くの場合はその通りで、EdgeやChromeはURL内のタイプミスを検出することさえあります。しかし残念ながら、タイポスクワッティングはこうした自動システムが見落とす隙間を突いてくるのです。

タイポスクワットされたドメインは、多くの場合、有効なSSL証明書と無害に見えるコンテンツとともに正規の手順で登録されています。メールゲートウェイはスパムパターンや既知の悪意ある送信者に注目しますが、適切に認証設定されたタイポドメインからのメールは、統計的には正規のトラフィックとほぼ変わりません。フィルターがブランド名との類似性を特別にチェックしたり、類似ドメイン向けに調整された機械学習を使用しない限り、そのメッセージを不審なものとしてフラグ付けすることはないでしょう。

ブラウザの保護機能にも同様の限界があります。新しいタイポドメインは絶えず出現し、新しいインフラに移行するまでのごく短期間しか使用されないこともあります。ブロックリストやタイプミス保護機能は対応が後手に回ったり、件数の少ない標的型攻撃を見逃したりしかねません。ドメインがフラグ付けされる頃には、被害はすでに発生していることが多いのです。

タイポスクワッティング対策は簡単——ただし方法を知っていることが前提

あなたを守るシンプルな習慣とツール

Google、Microsoft、Amazonなどの大手テック企業は、タイポスクワッティングに積極的に対抗し、よくあるスペルミス版のドメインを定期的に購入して公式サイトへリダイレクトしています。例えば、「gooogle.com」(oが1つ多い)と入力すれば、正しいURLであるGoogle.comへ転送されます。これにより、詐欺師が一般的なタイポドメインを登録するのを防いでいます。しかし、すべてのバリエーションを買い占めることは不可能であり、ユーザー自身の警戒心は依然として不可欠です。

最もシンプルな防御策は、クリック前に一瞬立ち止まることです。メール内のリンクは、クリックする前にカーソルを合わせて実際のURLを確認しましょう。アドレスバーも慎重にチェックしてください。特に画面の小さいモバイルでは、微妙な違いに気づきにくいため注意が必要です。ログインページに違和感を覚えたら——フォントが違う、要素が欠けている、全体的に何かおかしい——すぐにタブを閉じ、URLを直接入力するかブックマークを使って公式サイトへアクセスしましょう。

パスワードマネージャーはここで強力な味方になります。ログインページでパスワードマネージャーが自動入力されない場合、それはそのドメインが普段使っているものではないという強力なサインです。パスワードマネージャーはページの見た目ではなく正確なドメインを照合するため、タイポスクワットされたサイトでは自動入力が作動しません。

さらに強固な保護を求めるなら、パスワードの代わりにパスキー(passkey)への移行を検討しましょう。パスキーは特定のドメインに紐付けられており、そっくりさんのサイトでは動作しないため、設計上フィッシング耐性があります。パスキー対応アカウントには、ハードウェアセキュリティキーの使用も有効です。これらの物理デバイスは認証前にウェブサイトの真正性を検証するため、タイポスクワッティング攻撃は事実上無効化されます。

メール内のリンクには常に疑いの目を

タイポスクワッティングが成功するのは、脳が馴染みのある情報を処理する仕組みを突いているからです。私たちは実際にあるものではなく、期待するものを見てしまうのです。詐欺師たちはこの心理を計算し、一瞥チェックをクリアできるドメインとメールを作り上げています。

しかし、このトリックの仕組みを一度知ってしまえば、微妙な文字の入れ替えに気づきやすくなるはずです。特にログインページや金融取引では、送信元アドレスとURLの確認に数秒余分にかけてください。頻繁に訪れるサイトはブックマークを活用し、ドメインの検証はパスワードマネージャーに任せましょう。その一瞬の立ち止まりが、「ほぼ——でも完全には——正しくない」ドメインを登録した誰かに認証情報を渡してしまうことを防いでくれるのです。